GDPR u praksi: od svrhe do odgovornosti.

Prvo odredite svrhu i pravni temelj

Za svaku obradu utvrdite zašto je potrebna i koja je pravna osnova primjenjiva. Članak 6. obuhvaća privolu, ugovor, pravnu obvezu, zaštitu životnih interesa, javni interes ili službenu ovlast te legitimni interes uz propisane uvjete. Privola nije univerzalno rješenje. Za posebne kategorije podataka, poput zdravstvenih, vrijede i dodatni uvjeti. gov.hr — zakonitost obrade ↗ · GDPR — članci 6. i 9. ↗

Uskladite postupke i obavijesti

Objasnite koje podatke prikupljate, svrhu, pravni temelj, primatelje i čuvanje. Ograničite količinu podataka i pristupe te odredite primjerene rokove čuvanja. AZOP ističe da te odluke trebaju pratiti stvarnu obradu već pri njezinu oblikovanju. AZOP — obveze voditelja i izvršitelja ↗

Koristan početak je prolazak kroz jedan konkretan upit: od obrasca, preko e-pošte i radne mape, do završetka posla. Usporedite taj put s opisom u obavijesti. Ako se ne podudaraju, najprije razjasnite postupak i odgovornost.

Prava ljudi trebaju imati jasan put

Pripremite način zaprimanja zahtjeva za pristup, ispravak, brisanje i druga primjenjiva prava. Prava imaju uvjete i ograničenja. Odgovor se u pravilu daje u roku od mjesec dana; kada postoje uvjeti za produljenje, osobu o tome i razlozima treba obavijestiti unutar tog roka. EDPB — postupanje po zahtjevima ↗

Mali radni pregled za tim

• Koji podatak prolazi kroz koji sustav?
• Tko vodi postupak i tko mu tehnički pristupa?
• Gdje je zabilježena svrha i osnova obrade?
• Kako se provodi brisanje ili drugo završno postupanje?
• Kome zaposlenik prosljeđuje zahtjev ili incident?

Ovaj pregled je polazište za uređivanje procesa. Potreban opseg dokumentacije i dodatne obveze ovise o konkretnoj obradi.